2022商用商用密码应用安全性评估FAQ

商用密码应用安全性评估（第二版）2022目`录说明 1信系密应基要求等级 1应宜可评标握 1经证格密产中的钥全合判定 2物和境全面测评象别确定 2网和信全面测评象别确定 3设和算全面测评象 5设和算全面评对选粒度 5远管通安全 6合密产身鉴、完性关标判定 7备计安层身份别 8用数安层测评象别确定 9要据整保实现法题 9过码现据性、整保的定法 10问制息具义 10少码用案规性定 11用码品证过期合性定 12有证书号用密产对的块级 12缓措的风定 12告对高险措施体现 13活房通链规性定 14平测的任围 14平和上用评方和评论用式 15向众网的评 17何写及用据安层的评容告 18络安接认身份别标差别 24用身鉴是以缓网层份别高风险 2422第二版修订情况说明序号章节修改情况备注1说明新增修订情况说明23完善答案增加了密钥管理测评中，与密码应用方案一致性的要求35.2新增问题45.3新增问题59.1完善答案设备与计算安全层面指标测评中，增加了“是否按照密码产品使用”的要求69.2新增问题710.2新增问题810.3新增问题911.2新增问题1012新增问题1113新增问题1215.2新增问题1317完善答案对密码产品认证证书中缺少密码模块等级如何进行判定提出了具体判定要求1418完善答案1520完善答案明确了测评对象的例外情况需根据实际情况经专家判定1625新增问题1726新增问题11背景：GB/T39786-202122239的等级保护对象应具备的基本安全保护能力要问题：如何确定被测信息系统密码应用等级？解答：GB/T39786-202122240-2020GB/T39786-2021GB/T39786-2021第背景：GB/T39786-2021应”“”“可应”“宜”“可”应“宜GB/T39786-2021问题：在密评实施中，如何理解和把握“宜”的指标要求？解答：依据GM/T0115-2021《信息系统密码应用测评要求》，据信息系统的密码应用方案和/“宜“宜”“宜”的指标要求纳入标准符合性测评范围。“宜/22背景：GM/T0115-2021《信息系统密码应用测评要求》中，在通用测评要求中提出了“5.2密钥管理安全性”测评要求，其指标主要涉及密码产品/服务相关的内容。问题：经认证合格的密码产品，《信息系统密码应用测评要求》中“5.2密钥管理安全性”测评是否可以直接判定为“符合”？解答：“符合GB/T39786-2021GB/T39786第三级的信息系统应当采用满足GB/T37092-2018第二级及以上安全要求的密码产品；//背景：GB/T8.1“a)宜采用”“6.1问题：解答：PAGEPAGE10如果被测信息系统所在的物理机房采用多区域部署或被测信息系统重要资产分布在不“IDC背景：GB/T39786-2021（5.1如何确定网络和通信安全层面的测评对象？解答：可以从通信主体和网络类型两个方面来确定网络和通信安全层面的测评对象：webAPPIPSecVPN与IPSecVPN【场景示例】下面以一个具体场景来描述测评对象的确定过程。描述如下。用户可以从互联网、政务外网、办公内网，使用非国密浏览器或国密浏览器通过HTTPS协议访问前台应用系统；管理员可以从办公内网或使用VPN客户端通过内网SSLVPN浏览器通过HTTPS协议访问后台管理系统；系统管理员可以从互联网先登录运维SSLVPN信息系统可以通过IPSecVPN调用外部的密码资源（例如政务外网的数据加密服务）。针对此场景，根据通信主体，梳理出对应的网络类型，形成以下表格。服务端客户端前台应用系统后台管理系统内网SSLVPN运维SSLVPNIPSecVPN国密浏览器互联网、政务外网办公内网非国密浏览器互联网、政务外网VPN客户端--政务外网互联网-IPSecVPN政务外网器与前台应用系统之间的通信信道、政务外网国密浏览器与前台应用系统之间的通信信道。根据以上的方法，此信息系统网络和通信安全层面的测评对象确定如下：序号测评对象描述1互联网国密浏览器与前台应用系统之间的通信信道用户从互联网使用国密浏览器通过HTTPS协议访问前台应用系统，密码应用主要测评HTTPS协议。2政务外网国密浏览器与前台应用系统之间的通信信道用户从政务外网使用国密浏览器通过HTTPS协议访问前台应用系统，密码应用主要测评HTTPS协议。3互联网非国密浏览器与前台应用系统之间的通信信道用户从互联网使用非国密浏览器通过HTTPS协议访问前台应用系统，密码应用主要测评HTTPS协议。4政务外网非国密浏览器与前台应用系统之间的通信信道用户从政务外网使用非国密浏览器通过HTTPS协议访问前台应用系统，密码应用主要测评HTTPS协议。5政务外网VPN客户端与内网SSLVPN之间的通信信道管理员用户从政务外网通过内网SSLVPN接入办公内网，密码应用主要测评SSLVPN协议。6办公内网国密浏览器与后台管理系统之间的通信信道管理员从办公内网使用国密浏览器通过HTTPS协议访问后台管理系统，密码应用主要测评HTTPS协议。7互联网VPN客户端与运维SSLVPN之间的运维通信信道系统管理员从互联网访问SSLVPN运维设备，密码应用主要测评SSLVPN协议。8政务外网IPSecVPN与IPSecVPN之间的通信信道信息系统从政务外网通过IPSecVPN调用外部密码资源，密码应用主要测评IPSecVPN协议。5.2当被测系统使用第三方电子认证服务机构提供的认证服务完成系统功能时，被测系统与第三方电子认证服务相关系统之间的通信信道是否需要纳入测评范围？解答：如果被测系统与第三方电子认证服务相关系统之间的通信信道经过了不可控的网络环（5.3若被测系统为独立的内网系统，且不允许跨网络边界进行远程运维，这种情况下在网络和通信安全层面是否可认为没有测评对象？解答：这类情况下还需要确定网络边界环境及网络内部的安全性，再行决定。背景：GM/T0115-2021《信息系统密码应用测评要求》在设备和计算层面的测评对象包括：（问题：如何确定设备和计算安全层面的测评对象？解答：等。交换机、网闸、防火墙、WAF等未使用密码功能的网络设备、安全设备一般不作为设背景：（IPSecVPN问题：如何确定设备和计算安全层面的各个测评对象选取的粒度？解答：”的服务器5BC3DE““（A-B-如IPSecVPNSSLVPN），以“”GMxxx的IPSec“”“IPSec背景：GM/T0115-2021信息”，设备和计算层面“远程管理通道安全”测评项要求系统实现“远程管理设备时，采用密码技术。问题：设备和计算安全层面“远程管理通道安全”测评项如何避免与网络和通信安全层面的测评对象重复测评，如何进行量化评估？解答：以管理员在互联网通过SSLVPN接入系统内网后，登录堡垒机对设备进行远程管理为SSLVPNVPN“”VPNHTTPS协议的密码应用情况；测评对象为通用服SSH根据上述避免重复测评的方式，网络和通信安全层面将会根据SSLVPN别、通信数据机密性、完整性保护过程中的密码使用安全、密码算法/“/SSL“”背景：9.1合规密码产品的“身份鉴别”“系统资源访问控制信息完整性”“日志记录完整性”“重要可执行程序完整性、重要可执行程序来源真实性”等设备和计算安全层面的指标，应该如何测评？解答：密码产品在设备和计算安全层面的“系统资源访问控制信息完整性”“日志记录完整性”“重要IC9.2对于符合GM/T0036-2014解答：背景：10.1仅进行本地运维的设备，如何针对设备和计算安全层面的“身份鉴别”和“远程管理通道安全”该如何进行测评和结果判定。解答：““”10.2设备和计算安全层面，如果信息系统通过堡垒机统一运维管理设备，而堡垒机前部署了合规的SSLVPN，在该情况下堡垒机的身份鉴别以及其所运维设备的身份鉴别应该如何判定？解答：VPN10.3名+口令方式实现身份鉴别，是否可酌情降低风险？解答：这种情况下堡垒机的身份鉴别和堡垒机统一管理的设备（如通用服务器、数据库）背景：GM/T0115-2021业务。11.1如何确定应用和数据安全层面的测评对象？解答：11.2解答：背景：GB/T39786-2021《信息安全技术信息系统密码应用基本要求》在8.4节中要求“g)宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；”。问题：对于数据库中的重要数据存储完整性保护，使用SM3算法进行保护能否判定为符合？解答：仅采用SM3算法无法实现数据存储的完整性功能。入侵者可在篡改数据后，重新进行SM3杂凑运算并覆盖原先的杂凑值。因此，应判定为不符合。因此建议使用合规的密码产品通过HMAC-SM3、基于SM4的MAC（参考GB/T15852.1-2020）或数字签名的方式实现数据存储的完整性。背景：GB/T8.4“d)宜采问题：未使用密码产品，通过开源或自行开发的代码以软件实现密码算法的方式进行数据机密性、完整性保护，结果怎么判定？是否存在高风险？解答：GB/T39786-2021GM/T0115-2021SHA-1保证重要数据完整性或使用DES背景：GB/T39786-2021/（）。问题：网络和通信安全、设备和计算安全、应用和数据安全等层面提出的访问控制信息指什么？解答：（）“”，VPN在应用和数据安全中，要求为“采用密码技术保证信息系统应用的访问控制信息的完整性”，强调的是系统应用。因此在该层面中，访问控制信息主要包括应用系统的权限、标签等能够决定系统应用访问控制的措施等信息。背景：GB/T39786-2021《信息安全技术信息系统密码应用基本要求》9.7节a)条款规定“应依据密码相关标准和密码应用需求，制定密码应用方案”，但很多已建信息系统并没有在系统规划时制定密码应用方案。15.1在依据GB/T39786-20219.7a)条款密评时，密码应用方案该如何理解？解答：GM/T0115-2021关要求进行判定。需要说明的是，对于新建信息系统，除依据GM/T0115-202115.260解答：以密码法实施时间为界限。2020年1月1日前投入运行的系统，首次密评时该项可判定““11符合。背景：问题：商用密码产品认证证书的有效期在密评时该如何把握？解答：背景：问题：未标注密码模块安全等级的商用密码产品在测评时如何判定？解答：2020年6月30在实际测评时，未标注密码模块安全等级的产品可分以下两种情况：（如电子门禁系统、CA/KM系统、电子签章系统等）不适用于密码模块标准，但作为系统（背景：《信息系统密码应用高风险判定指引》文件中，部分判定单元中提供了可能的缓解措施。问题：解答：背景：问题：针对测评报告模板中高风险修正过程在哪个地方体现？解答：A【场景示例】【场景示例】（（2021版6-1背景：信息系统一般通过网络技术来实现与外界的互联互通，网络和通信安全层面的测评对问题：双活机房之间通信的通信链路，是否可作为网络和通信层面的一条通信信道？解答：GM/T0115-2021背景：（“问题：解答：原则上需要完成两部分测评工作：），（）云上应用系统所处的云平台通过密评（即获得“符合”或“基本符合”的结论）背景：GB/T39786-2021问题：解答：（IaaSPaaS）。某些支撑服务仅用完””1）A和K（AES和SM4AES为SM4为2）（结论）。“”即获得符合或基本符合的结论”。“”但是要重点关注该支撑能力与云平台、云上应用进行整合时是否安全，避免可能存在的安全风险。比如，如果云上应用单独购置了需要说明的是，实际测评过程中，上述规则可能存在以下无法适用或不能适用的情况：（“（测评。云平台支撑能力说明模版如下：表1被完全评估的支撑能力概述序号安全层面被完全评估的支撑能力测评对象所涉及的指标1物理和环境安全XXX机房身份鉴别、电子门禁记录数据存储完整性2XXX机房3……4网络XXX通信信道5和通信安全XXX通信信道6……7设备和计算安全XXX设备8…………9应用和数据安全XXX用户10XXX数据11XXX行为12……表2被部分评估的支撑能力概述序号支撑能力名称量化评估分值和适用条件风险评估情况和适用条件A适用条件K适用条件风险等级适用情况1电子签章服务√当使用SM3和SM2算法进行电子签章时√（可以为“无”）中、低×（可以为“无”）×（可以为“无”）高2时间戳服务√√中、低××高3服务器密码机√√中、低××高背景：问题：面向公众、信息可公开的信息系统，需要重点关注哪些内容？解答：（”“”背景：（2021版3.3.2节“”、第4章“单元测评”和附录A.4“应用和数据安全”均涉及应用和数据安全层面的测评对象。此外，第4章“单元测评”问题：如何编写密评报告中应用和数据安全层面的测评内容？解答：“表3-7应用和数据安全测评对象”和第4章节的“表4-4应用和数据安”4章节“表4-4应用和数据安全测评结果汇总”（OA（）等。密评报告模板中第节“表3-7应用和数据安全测评对象”可按照如下方式：表3-7序号测评对象测评方式说明1信息化办公系统应用相应的，在密评报告第4章节“单元测评”表4-4中可按照如下方式：4-4序号测评对象测评指标符合情况（符合/部分符合/不符合/不适用）身份鉴别访问控制信息完整性重要信息资源安全标记完整性重要数据传输机密性重要数据存储机密性重要数据传输完整性重要数据存储完整性不可否认性信息1统应部分符合部分符合不适用部分符合符合部分符合部分符合部分符合用单元测评结果符合部分/部分符合部分符合不适用部分符合符合部分符合部分符合部分符合不适用）针对应用和数据安全层面身份鉴别情况进行说明和汇总，如表4-5-1所示：4-5-1序号应用用户身份鉴别1OA办公系统管理员用户部分符合2OA办公系统业务用户符合3公文管理系统管理员用户符合4公文管理系统业务用户符合单元测评结果（符合/部分符合/不符合/不适用）部分符合针对应用和数据安全层面关键数据的机密性和完整性保护情况进行说明和汇总，如4-5-2所示：表4-5-2序号关键数据传输机密性存储机密性传输完整性存储完整性1OA办公系统管理员用户登录口令不符合符合不符合不符合2OA办公系统业务用户登录口令不符合符合不符合不符合3OA办公系统业务报表不适用不适用符合符合4OA办公系统办公文件数据不适用不适用符合符合5OA办公系统业务日志不适用不适用符合符合6公文管理系统管理员用户登录口令符合符合不符合不符合7公文管理系统业务用户登录口令符合符合不符合不符合8公文管理系统业务数据符合符合不符合符合9公文管理系统业务日志符合符合不符合符合单元测评结果（符合/部分符合/不符合/不适用）部分符合符合部分符合部分符合针对应用和数据安全层面不可否认性情况进行说明和汇总，如4-5-3所示：表4-5-3序号操作行为不可否认性1OA办公系统业务用户文件审批操作部分符合2公文管理系统业务用户公文签发操作符合单元测评结果（符合/部分符合/不符合/不适用）部分符合针对该系统示例的测评结果记录模板如下表A-4所示：测评指标测评对象结果记录量化指标测评单元得分测评指标测评对象结果记录量化指标测评单元得分密码使用安全D密码算法/技术合规性A密钥管理安全K测评对象评分Si,j,k身份鉴别OA办公系统管理员用户略×0.5略OA办公系统业务用户略1员用户略1公文管理系统业务用户略1访问控制信息OA办公略××0.25略完整性系统公文管理系统略1重要信息资源安全标记完整性OA办公系统不适用/略公文管理系统不适用/重要数据传输机密性OA办公系统管理员用户登录口令略×××略OA办公系统业务用户登录口令略××